refactor: 移除已廢棄的自管加密金鑰機制（credential 全面託管 CF Workers Secrets）

leo 2026-07-20 明令：「已經改用 cf 自己的 secrets，不要再說它了」
「我希望以後再也看不到這個詞再出現」

背景：credential 早已遷移至 CF Workers per-script Secrets + D1 目錄，
舊的自管金鑰（client 端 AES-GCM + KV 密文 + crypto_decrypt）是遷移期遺留。
本次連根移除，含一併作廢的死 SaaS 碼。

移除：
- 舊 KV 密文解密路徑（credential-injector.ts 整檔、dual-read fallback）
  前置驗證：leo21c / youlin 兩帳號 CREDENTIALS_KV 實測 *:cred:* 皆 0 筆
- migrate-to-workers-secrets 搬家端點（回填已完成，無可回填）
- /register 路由與 generateApiKey（HMAC 產 ak_ key 是 SaaS 遺物；
  self-hosted 走 namespace 明碼 D21，已無人使用）
- platform_crypto component（三帳號實測 404 已退役，無 workflow 引用）

保留（附理由）：
- crypto_decrypt 保留為永遠回失敗的 stub——現役三個 auth .wasm 仍宣告該
  import，缺項會讓 WASM instantiate 直接失敗。待零件重編後可真正刪除。

順帶修復（原不在範圍，但會實際壞事）：
- /auth/callback 有 `if (!key) redirect(server_error)` 閘，未設該 secret 的
  實例會登入直接失敗 → 已移除
- OAuth 兩處把 provider token 寫進舊加密 KV（租戶鍵與實際 api_key 在 rotate
  後必然分歧，已失效）→ 改導向 Workers Secrets，包 try/catch 不影響登入
- acr init Standard 模式呼叫已刪除的 /register → 改引導 OAuth 取 key
- .claude/rules 與 system-dev/docs 是同一規範的兩份鏡像，先前只改 rules
  導致鏡像仍在教舊做法 → 已同步（此類雙檔同步應納入檢查）

新用戶安裝從此零 secret 前置。
測試 187/188（唯一 fail 為 pre-existing，stash 驗證與本次無關）；
cypher-executor 與 cli typecheck 全綠。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

cypher-executor/src/actions/auth-dispatcher.ts

@@ -6,15 +6,15 @@
  *
  * 嚴格邊界(rule 02 §2.2):
  *   - 本檔**不做**任何 credential 解密 / template 展開 / JWT 簽章
- *   - 那些全部在 auth primitive WASM 零件內執行(透過 host function `crypto_decrypt` 等)
+ *   - 那些全部在 auth primitive WASM 零件內執行(透過 host function `secret_get` 等)
  *   - 本檔只做「查 recipe 決定走哪個 primitive Worker」+「HTTP fetch 取回注入結果」
  *
  * 目前階段接上 `auth_static_key` + `auth_service_account` + `auth_oauth2`,
  * Phase 4 剩 `auth_mtls`（mTLS handshake 在 Worker runtime 層）。
  *
  * 執行時機:graph-executor 在節點 runner 執行前呼叫,取回的 ctx 會:
- *   1. 先試本 dispatcher(命中才 return enriched ctx)
- *   2. 沒命中 fallback 到 `injectCredentials`(Phase 1.9 才刪除)
+ *   1. 本 dispatcher 命中 → return enriched ctx
+ *   2. 沒命中 → ctx 原樣往下(T10 起舊的 injectCredentials 雙讀 fallback 已移除)
  */
 
 import type { Bindings } from '../types';
@@ -250,7 +250,7 @@ function replaceCredentialRefs(value: unknown, resolved: Record<string, string>)
  *
  * 嚴格邊界（rule 02 §2.2）：本函式**不解密**。偵測到 {{credential.X}} 後，把 names 交給
  * auth_static_key WASM 的 `resolve_credentials` action（WASM 內 kv_get + crypto_decrypt），
- * 拿回明文後只做字串回填。ENCRYPTION_KEY 永不經此處。
+ * 拿回明文後只做字串回填。本檔不解密、不持有任何金鑰。
  *
  * - 無 {{credential.}} → 原樣回傳（不打 WASM，零開銷）
  * - 解密失敗 / 缺 credential → throw（誠實報錯，不假綠）